- 博客(20)
- 收藏
- 关注
RSS订阅原创 【PHP安全】ThinkPHP 5.1 框架安全开发与核心漏洞分析
环节风险项安全实践开发规范不安全SQL写法强制使用查询构造器或模型的参数绑定方式，严禁SQL拼接。依赖管理框架版本漏洞定期更新框架至安全版本，订阅漏洞情报。输入处理内置过滤绕过对用户输入进行白名单校验和类型强制转换，即使框架有过滤也不完全依赖。权限控制逻辑越权漏洞关键操作实施“服务端权限复审”与“数据归属校验”。安全配置默认风险配置关闭调试模式()，自定义安全密钥，严格配置路由。
2026-01-16 15:15:47
722
原创 【PHP安全】模板引擎应用中的安全风险剖析：从代码执行到RCE漏洞
PHP Web开发中的模板渲染存在代码执行安全风险。通过对比自定义模板和Smarty引擎两种实现方式，分析其安全隐患：自定义模板中若直接包含用户输入数据可能导致RCE漏洞；Smarty引擎虽默认安全，但错误配置(如开启allow_php_tag)或模板注入同样会带来风险。防御建议包括严格区分数据与代码、禁用危险配置、控制模板目录权限，以及对所有输出变量进行转义处理。审计时应重点关注数据来源与代码执行边界是否清晰。
2026-01-16 15:10:50
526
原创 PHP文件管理模块安全开发规范：上传与显示过滤机制详解
本文系统梳理了PHP文件管理模块的安全开发要点。文件上传环节需实施四级防御：从基础检查到白名单过滤，再到文件内容校验和二次渲染处理，强调必须使用move_uploaded_file函数并重命名文件。文件显示环节重点防范目录遍历漏洞，通过realpath校验路径、限定访问范围，并对输出内容进行转义。同时建议配置php.ini的open_basedir限制和Web服务器的执行权限控制，构建纵深防御体系。全文提供了具体实现代码和安全检查清单，为开发安全的PHP文件管理功能提供全面指导。
2025-12-28 11:17:10
1051
原创 Web应用身份验证与状态管理技术详解：Cookie、Session与Token
摘要： Cookie、Session和Token是三种常见的Web状态管理技术，用于解决HTTP无状态问题。Cookie存储在客户端，通过setcookie()设置，适合存储小型非敏感数据，但需防范XSS和CSRF攻击。Session将数据存储在服务器端，客户端仅保存Session ID，适用于会话管理（如登录状态），但需注意服务器资源开销。Token（如JWT）是无状态验证方案，客户端存储加密令牌，服务器仅需验证签名，适合API认证和分布式系统。 对比： 存储位置：Cookie在客户端，Session在服
2025-12-28 11:15:43
796
原创 【PHP开发】Web应用开发基础：留言板功能实现与核心技术解析
本文介绍了PHP Web开发环境搭建与留言板功能实现的全流程。主要内容包括：1）开发环境配置（PhpStudy、PHPStorm等工具）；2）MySQL数据库设计与CRUD操作；3）PHP核心编程（HTML混编、超全局变量使用）；4）前后端交互实现；5）安全注意事项（SQL注入/XSS防御）。通过留言板案例，详细演示了从用户输入到数据存储的完整工作流程，为PHP后端开发提供了实用参考。特别强调了预处理语句、数据过滤等安全规范的重要性。
2025-12-27 10:19:57
922
原创 【网络资产】网络空间资产侦察与信息泄露监控技术实践笔记
在网络攻防演练与安全评估中，主动发现目标暴露在互联网的敏感资产和信息泄露，是攻击方扩大攻击面、防守方收敛风险的关键环节。本笔记系统梳理了针对微信公众号、代码托管平台、网盘、敏感目录及网络空间证书/图标/邮箱等资产的侦察方法、监控策略与实战案例。核心攻击面：现代安全防御的薄弱点往往不在系统漏洞本身，而在于人的疏忽和流程的缺失。关键来源代码托管平台（如GitHub）公开文件分享（如网盘）公开信息聚合平台（如企查查、招标网）是信息泄露的三重灾区。工作流程：成功的资产侦察应遵循“
2025-12-27 10:16:39
1068
原创 企业级网络安全攻防体系建设：自动化工具链整合与实践指南
本文档旨在将零散的攻防工具笔记，系统化重构为一份符合企业级安全运营（Security Operations）标准的技术参考指南。文档以 “资产攻击面管理（Attack Surface Management, ASM）” 为核心脉络，整合了从外部侦察、资产发现、到内部自动化武器库部署的完整工具链。内容严格遵循网络安全行业术语规范，并融入了当前（2025年）以AI与自动化驱动的安全运营新范式，为安全团队构建自动化防御体系、红队进行高效渗透测试提供清晰的实践路径与架构参考
2025-12-25 21:24:14
673
原创 【小程序安全】小程序安全测试实战指南：从抓包到逆向源码
本文系统介绍了微信小程序安全测试的完整流程，包含四个核心阶段：目标获取、初步体验、流量分析和逆向工程。首先通过本地缓存获取小程序包文件，然后进行功能体验和架构分析。接着使用代理工具抓取网络流量，检测API接口安全风险。最后通过反编译工具获取源码，分析潜在安全隐患如硬编码敏感信息、未授权接口和业务逻辑漏洞。测试需采用动静结合方法，遵守网络安全法规，严禁非法使用。
2025-12-25 21:21:39
1646
原创 【APP安全】移动应用（APP）安全测试与资产信息收集实战指南
《移动应用安全评估指南》摘要 本指南系统阐述了如何通过移动应用（APP）挖掘企业安全漏洞。核心目标包括获取三类关键信息：资产信息（IP、域名、API）、泄露信息（硬编码密钥）和代码安全问题。评估流程分为四个阶段：1）通过企业查询平台和应用市场发现目标APP；2）使用MobSF等工具进行静态分析提取敏感信息；3）结合BurpSuite等工具进行动态抓包分析；4）必要时使用Frida等工具进行深度逆向调试。指南推荐优先采用MobSF进行自动化静态+动态扫描，快速提取URL、API和密钥，并将发现的信息整合到后续
2025-12-24 10:39:15
905
原创 【Web安全】Web资产识别与指纹探测技术实践指南
《Web资产识别技术指南》摘要 Web资产识别是渗透测试的核心环节，通过识别目标系统的技术栈（编程语言、框架、中间件等）为后续测试提供方向。指南系统梳理了三维识别体系：应用层（CMS、前后端框架）、中间件层（Web服务器、数据库）和网络层（操作系统、CDN/WAF）。重点介绍了指纹识别技术，包括CMS框架特征匹配、高危组件（如Fastjson/Shiro）漏洞关联、JS文件敏感信息提取及防护设施识别方法。提出标准化工作流程：目标确认→信息收集→端口扫描→深度指纹识别→防护探测→漏洞映射。强调工具自动化与人工
2025-12-23 21:30:45
976
原创 【Web 渗透】渗透测试基础实践：CDN 绕过与真实 IP 发现
摘要：本文系统介绍了CDN技术及其绕过方法。首先阐述CDN基础概念，包括定义、访问流程对比及主流服务商。重点解析CDN配置关键项（加速域名、区域、类型）及其安全影响。详细列举多种CDN识别与绕过技术，包括子域名查询、邮件系统探测、国外访问测试等9类方法，并介绍fuckCDN等自动化工具。最后提供验证方法、防御建议及使用注意事项，强调技术仅限授权测试使用。全文为安全评估提供了一套完整的CDN绕过技术框架。
2025-12-23 14:08:13
983
原创 【Web 安全】常见安全扫描与资产识别技术原理及实战总结
本文摘要： 网络安全技术分析主要涵盖四个核心领域：1) Web服务器与应用服务器的区分，前者处理静态资源，后者运行动态程序；2) 端口扫描技术，包括主动扫描工具Nmap/Masscan和被动扫描工具FOFA；3) WAF识别方法，通过拦截页面特征或工具检测200+种防火墙；4) 蜜罐识别技术，分析协议端口特征和使用专项工具检测。文章详细介绍了各类工具的典型应用场景、参数配置及结果分析方法，并提供了常见产品的识别特征和检测思路。最后强调了端口扫描结果对渗透测试方向的指导意义，以及干扰因素对扫描结果的影响。
2025-12-22 16:55:20
1060
原创 【Web 渗透】前端 JavaScript 资产分析与敏感信息发现实战
本文介绍了JavaScript渗透测试（JSPentest）的核心内容。首先明确了JS在现代Web应用中的重要性及其安全风险，包括源码泄露、敏感Key泄露、接口未授权访问等问题。文章详细讲解了如何识别JS开发应用、获取JS文件的方法（手工/半自动化/工具化），以及如何从JS中快速提取关键信息（如接口路径、请求方法等）。特别针对Webpack等前端框架的测试要点进行了说明，包括.map文件泄露等风险。最后提供了相关工具和字典资源，并强调JS渗透的核心是通过前端反推后端攻击面，重点关注接口位置、鉴权和可利用性。
2025-12-22 10:01:05
1101
原创 【Web 安全】基于 Web 架构的资产分析与漏洞挖掘思路总结
本文总结了Web架构资产与源码泄露的渗透测试方法。开源系统可通过指纹识别（如云悉、Wappalyzer）获取CMS/框架信息后搜索对应源码；闭源系统则需关注配置缺陷，重点检测备份文件（.zip/.bak）、版本控制目录（.git/.svn）、DS_Store文件等泄露风险。详细介绍了GitHack、SvnHack等工具的使用步骤，以及GitHub高级搜索技巧。强调所有操作必须合法授权，并需多维度验证源码有效性。该流程为渗透测试人员提供了系统化的源码泄露检测方案。
2025-12-21 16:49:02
886
原创 【Web 安全信息收集】目标资产梳理流程：子域名、端口与 Web 服务发现
本文系统介绍了渗透测试中的信息收集（信息打点）流程与方法。首先明确了信息收集的核心概念，即通过系统收集目标公开信息绘制"数字资产地图"。文章详细阐述了六大信息收集维度，包括Web资产、系统资产、应用资产等，并提出了针对企业目标的三步收集流程：企业主体信息收集、业务资产清单梳理和Web域名深度收集。重点讲解了子域名收集技术（DNS历史记录、SSL证书查询等）和Web架构识别方法，推荐了OneForAll等实用工具的操作指南。最后总结了从目标确认到信息整理的标准工作流，强调信息收集对后续渗透
2025-12-21 10:54:12
1007
原创 【Web 安全实战】利用 ChatGPT 辅助信息收集与漏洞分析的方法总结
已知JWT使用HS256算法，我需要尝试一个常见的弱密钥字典（如‘secret’、‘password’、‘123456’等）来破解签名。脚本应读取一个JWT token和密钥字典文件，并输出破解成功的密钥。向目标的445端口发送特定的SMB数据包，通过分析返回的响应来判断主机是否存在MS17-010漏洞。它本质上是一个基于深度学习的、能够理解和生成人类语言的AI模型。：编写一个脚本，通过特征码扫描目录中的PHP文件，检测潜在的Webshell。禁用危险函数的情况下，编写一个绕过限制的Webshell。
2025-12-19 17:43:16
747
原创 【Web 安全基础】HTTP 请求与响应结构在安全测试中的应用
本文详细解析了HTTP请求的组成结构（请求行、请求头、请求体）和常见请求方法（GET/POST等），介绍了HTTP响应状态码分类及其在安全测试中的应用。通过实例演示了如何利用BurpSuite进行目录探测，以及如何结合Postman和Sqlmap进行SQL注入测试。文章重点说明了状态码分析在Web安全测试中的重要性，并提供了工具联动的实用技巧，为安全测试人员提供了有效的技术参考。
2025-12-19 16:52:03
919
原创 【Web 安全】常见加密与签名机制原理及安全测试思路
本文系统介绍了常见加密技术及其识别方法。主要内容包括：1）哈希算法（MD5、SHA系列）的特征识别与安全增强措施；2）Base64编码的特点及与加密的区别；3）对称加密（AES、DES）的算法参数和密文特征；4）非对称加密（RSA）的原理与密钥格式；5）加密分析实战步骤，包括密文特征识别、解密策略选择等；6）防御建议与安全测试检查清单。文章提供了详细的代码示例和工具推荐，强调安全测试必须在合法授权范围内进行。适用于安全测试人员和开发工程师参考。
2025-12-18 12:13:34
749
原创 【Web 安全】编码与加密机制在 Web 漏洞测试中的实际应用
Web安全测试中的编码与加密处理 在Web安全测试中，编码（如Base64、URL编码）和加密（如MD5、AES）的区分至关重要。编码用于数据格式转换，而加密则保护数据机密性。测试时需模拟客户端的处理流程，确保参数格式一致性，如Base64编码的参数需解码后才能被服务器正确解析。登录场景中，密码可能通过MD5等哈希算法加密传输，测试工具需配置相同加密逻辑。 针对不同CMS系统（如ZZCMS、Discuz!），密码加密机制各异，可能采用MD5、加盐哈希或对称加密（AES/DES）。破解方法包括碰撞式解密（利用
2025-12-18 10:17:35
606
原创 【SOC / Web 安全】基于抓包的 Web 攻击行为分析与排查实践
摘要： 本文系统介绍了网络流量捕获工具的分类、选型与实战应用。核心工具包括全流量捕获工具（如科来、Wireshark）和Web专用工具（如BurpSuite、Charles），并详细分析了各类工具的优势与局限。通过非HTTP游戏流量抓取案例，演示了从环境准备到协议分析的完整流程，包括流量定位、协议识别与关键数据包提取。文章还提供了工具选择策略、常见问题解决方案，并探讨了抓包数据在渗透测试、逆向分析等场景的应用方向，为安全研究和技术人员提供了实用指南。
2025-12-17 20:03:15
1030
网络安全基于BurpSuite的多平台抓包技术解析：HTTPS协议下APP小程序PC应用数据拦截与转发联动方案设计
2025-12-17
求学（来自准大一新生的提问）
2023-07-31
TA创建的收藏夹 TA关注的收藏夹
TA关注的人